Worm/Sober.F - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Sober.F
Scoperto:	04/04/2004
Tipo:	Worm
In circolazione (ITW):	No
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio-Basso
File statico:	No
Dimensione del file:	42.496 Byte
Versione VDF:	6.24.00.84

Generale Metodo di propagazione:
   • Email

Alias:
   • Symantec: W32.Sober.F@mm
   • Mcafee: W32/Sober.f@MM
   • Kaspersky: Email-Worm.Win32.Sober.f
   • TrendMicro: WORM_SOBER.F
   • Grisoft: I-Worm/Sober.F
   • VirusBuster: I-Worm.Sober.G
   • Bitdefender: Win32.Sober.F@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica file
   • Utilizza un proprio motore SMTP per l'invio di email
   • Modifica del registro

Giusto dopo l'esecuzione, avvia un'applicazione Windows che visualizzerà la seguente finestra:

File Si copia alle seguenti posizioni:
   • %SYSDIR%\%parole casuali%.exe

%parole casuali%:
   • sys
   • host
   • dir
   • expolrer
   • win
   • run
   • log
   • 32
   • disc
   • crypt
   • data
   • diag
   • spool
   • service
   • smss32

Vengono creati i seguenti file:

– Copie di se stesso con codifica MIME:
   • %SYSDIR%\winhex32xx.wrm
   • %SYSDIR%\winsys32xx.zzp

– File che contengono gli indirizzi email recuperati:
   • %SYSDIR%\syst32win.dll
   • %SYSDIR%\spoofed_recips.ocx

– %TEMPDIR%\%file eseguiti%.txt Viene aperto utilizzando il programma predefinito per questo tipo di file.

Prova a scaricare dei file:

– Le posizioni sono le seguenti:
   • people.freenet.de/angiesweb/**********
   • scifi.pages.at/cyberx/**********
   • people.freenet.de/designs/**********
   • people.freenet.de/firstpageonweb/**********
   • scifi.pages.at/floraflori/**********
   • scifi.pages.at/free-web-side/**********
   • people.freenet.de/hinger/**********
   • scifi.pages.at/lebens-tipps/**********
   • people.freenet.de/michisweb/**********
   • scifi.pages.at/pc_help/**********
   • scifi.pages.at/rezepte/**********
   • people.freenet.de/schmink-tipps/**********
   • people.freenet.de/stefis_web/**********
   • people.freenet.de/zernys-seite/**********
Al momento dell'analisi questo file non era più disponibile.

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • %parole casuali% = %SYSDIR%\%parole casuali%.exe

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
   %parole casuali%]
   • %parole casuali% = %SYSDIR%\%parole casuali%.exe

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:
La lingua con cui la mail viene spedita dipende dal dominio di primo livello.

Da:
L'indirizzo del mittente è falso.
Indirizzi generati. Non si presupponga che fosse intenzione del mittente inviare questa email. Potrebbe non essere a conoscenza della propria ”infezione” o addirittura potrebbe non essere “infetto”. In più si potrebbero ricevere email bounce che diranno che si è “infetti”. Questo potrebbe comunque non essere il caso.

A:
– Indirizzi email trovati in specifici file sul sistema.

Oggetto:
Uno dei seguenti:
   • Bad Gateway; Best; Confirmation Required; Connection failed; damn!;
      Details; Faulty mail delivery; Hey; hey you; Hi!; Hi, it's me; Illegal
      signs in Mail-Routing; Info; Information; Invalid mail sentence
      length; Mail delivery failed; Mail Delivery failure; mail delivery
      status; Mail Error; Message Error; Oh my God; Warning!; Well,
      surprise?!; Your document; Your mail account; Your mail-account; Your
      password; Einzelheiten; Fehler; Fehler in E-Mail; Fehlerhafte
      Mailzustellung; Hallo Du!; Hallo!; Hey Du; Hi, Ich bin's; Ich bin es
      .-); Ihr neues Passwort; Ihr Passwort; Illegale Zeichen in
      Mail-Routing; Mailzustellung fehlgeschlagen; Na,; Registrierungs-Best;
      Ung; Verbindung fehlgeschlagen; Verdammt; Warnung!; Datenbank-Fehler

Corpo dell'email:
Il corpo dell’email è come uno dei seguenti:

   • I was surprised, too! :-(
     Who could suspect something like that?
     shock

   • All OK :)
     see, what i've found!

   • hi its me
     i've found a shity virus on my pc. check your pc, too!
     follow the steps in this article.
     bye

   • I 've told you!:-) sometime I grab your passwords!


   • Follow the instructions to read the message.
     Please read the document

   • Your password was changed successfully.
     Protected message is attached.

   • I hope you accept the result!

   • Database Error
     -- Partial message is available!
     -- Error: llegal signs in Mail-Routing
     -- Mail Server: ESMTP VX32.9 Version Betha Alpha

   • *** Auto Mail Delivery System ***

   • ...

   • Ich war auch ein wenig
     Wer konnte so etwas ahnen!? Lese selbst
     Oh-Mann

   • Alles klaro bei dir?
     Schau mal was Ich gefunden habe!
     Meinst Du das wirklich?

   • Sieh mal nach ob du den Scheiss auch bei dir drauf hast!
     Ist ein ziemlich nervender Virus. Mach genau das, wie es im Text beschrieben ist!
     Bye

   • Ich habs dir doch gesagt, irgendwann schaffe ich es deine Passw
     Details entnehmen Sie bitte dem Attachment


   • Ihre E-Mail konnte nicht gesendet oder empfangen werden.

   • Passwort und Benutzername wurde erfolgreich geandert

   • Benutzer-Daten
     Wegen eines Datenbank- Fehlers
     Wenn Sie Unregelm
     Vielen Dank

   • Internet Provider Abuse:
     Wir haben festgestellt, dass Sie illegale Internet- Seiten besuchen.
     Bitte beachten Sie folgende Liste:
     Liste
     Schwarze-Liste

   • ***
     Mail- Anhang: Keine verd
     Mail Scanner: Kein Virus gefunden
     Anti- Virus: Es wurde kein Virus erkannt

A volte seguito da uno dei seguenti:

   • 67.28.114.32_failed_after_I_sent_the_message./
     Remote_host_said:_554_delivery_error:_dd_
     Sorry_your_message_cannot_be_delivered._
     This_account_has_been_disabled_or_discontinued_[
     102]._-_mta134.mail.dcn.com
     ** End of Transmission

   • The original message is a separate attachment.
     --- Mail To: UserHelp
     Read the attachment for details.
     Bad Gateway: The message has been attached.


   • Mail- Attachment: No suspicious Virus signatures
     Mail Scanner: No Virus found
     Anti-Virus: No Virus!

   • * End Transmission

A volte seguito da uno dei seguenti:

   • ++++ Service: http://www.%dominio del destinatario%
     ++++ Mail To: User-info@%dominio del mittente%

   • +++ A service of %dominio del destinatario%
     +++ Mail: home@%dominio del mittente%

   • ++++ Im www erreichbar unter: http://www.%dominio del destinatario%
     ++++ E-Mail: KundenInfo@%dominio del mittente%

   • --- Web: http://www.%dominio del destinatario%
     --- Mail To: User-Hilfe@%dominio del mittente%

   • +++ Ein Service von
     +++ http://www .%dominio del destinatario%
     +++ E-Mail: Kundenservice@%dominio del mittente%

File allegato:
I nomi dei file allegati vengono estrapolati dai seguenti:

– Inizia con uno dei seguenti:
   • Administrator
   • AMD-System.txt
   • anitv_text
   • AntiVirus-Text
   • attach-message
   • AutoMailer
   • Benutzer-Daten
   • block-lists
   • check_this
   • corrected_text-file
   • database_partial
   • database
   • Datenbank_Auszug
   • dokument
   • Error_Info
   • error
   • error-message
   • Fehler-Info
   • help
   • instructions
   • kurztext
   • message
   • Money-Help
   • partial
   • pass-message
   • pmessage-text
   • RobotMailer
   • Schwarze-Liste
   • textdocument
   • Text-Inhalt
   • User-info
   • webmaster
   • your_article
   • your_passwords

A volte seguito da uno dei seguenti:
   • _attach

    L'estensione del file è una delle seguenti:
   • .pif
   • .zip

L'email può presentarsi come una delle seguenti:

Invio di messaggi Cerca indirizzi:
Cerca i seguenti file per gli indirizzi email:
   • .abc; .abd; .abx; .adb; .ade; .adp; .adr; .asp; .bas; .cfg; .cgi;
      .cls; .ctl; .dbx; .dhtm; .doc; .dsp; .dsw; .eml; .fdb; .frm; .hlp;
      .ini; .jsp; .ldb; .ldif; .log; .mbx; .mda; .mdb; .mde; .mdw; .mdx;
      .mht; .mmf; .msg; .nab; .nch; .nfo; .nsf; .ods; .oft; .php; .pl; .pp;
      .ppt; .pst; .rtf; .shtml; .sln; .tbb; .txt; .uin; .vap; .vbs; .wab;
      .wsh; .xls; .xml

Generazione dell'indirizzo per il campo FROM:
Per generare indirizzi utilizza le seguenti stringhe:
   • Administrator; Webmaster; Home; Register; Service; Info; admin;
      Error_Info; RobotMailer; AutoMailer; User-info; account; webmaster;
      Webmaster; Fehler-Info; Administrator; RobotMailer; AutoMailer;
      Register; Service; Info; Passwort; Kundenservice; Liste;
      Schwarze-Liste; Information

Combina questo con i domini della seguente lista o con gli indirizzi trovati nei file sul sistema

Il dominio è uno dei seguenti:
   • yahoo.com
   • yahoo.de
   • gmx.de
   • gmx.net
   • web.de
   • freenet.de
   • lycos.de

Evita indirizzi:
Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • mailer-daemon; office; redaktion; support; variabel; password; time;
      postmas; service; freeav; @ca.; abuse; winrar; domain.; host.; viren;
      ewido.; emsisoft; linux; google; @foo.; winzip; @arin; mozilla; @iana;
      @avp; @msn; microsoft.; @sophos; @panda; symant; ntp-; ntp@; @ntp.;
      @kaspers; free-av; antivir; virus; verizon.; @ikarus.; @nai.;
      @messagelab; clock; yahoo.com; yahoo.de; gmx.de; gmx.net; web.de;
      freenet.de; lycos.de

Varie Sincronizzazione dell'ora:
Per sincronizzare l'ora locale, contatta i server NTP sulla porta 37:
   • ntps.cs.tu-berlin.de
   • ntp.fau.de
   • Rolex.Peachnet.edu
   • ns1.usg.edu
   • ptbtime.ptb.de
   • time.nrc.ca
   • ntp.metas.ch
   • timelord.regina.de
   • ntp.ece.cmu.edu

Stringa:
In più contiene la seguente stringa:
   • @All AV: Die NTP, Update,... Funktionen, waren bereits ab Version.A vorhanden ! Im diesen Sinne:Odin alias Anon

Dettagli del file Linguaggio di programmazione:
Il malware è stato scritto in Visual Basic.

Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• UPX

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Tue, 25 Apr 2006 16:27 (GMT+1)
Descrizione aggiornata da Andrei Gherman il Tue, 25 Apr 2006 20:00 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro